Eine neue Linux-Kernel-Lücke namens Dirty Frag verschafft jedem unprivilegierten lokalen Nutzer mit einem einzigen Befehl Root-Rechte. Das BSI aktualisierte am 19. Mai 2026 die zugehörige Sicherheitswarnung. Betroffen sind nahezu alle Linux-Distributionen, dazu Container und Cloud-Workloads. Ein öffentlicher Proof-of-Concept war zu diesem Zeitpunkt bereits im Umlauf.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Binnen vier Wochen, bis Mitte Mai 2026, wurden zwei Schwachstellen zur Rechteausweitung im Linux-Kernel bekannt, und die zweite umgeht jede bisherige Schutzmaßnahme.
- Dirty Frag verkettet zwei CVEs: CVE-2026-43284 (xfrm-ESP Page-Cache Write, CVSS 8,8) und CVE-2026-43500 (RxRPC Page-Cache Write, CVSS 7,8)
- Der Sicherheitsforscher Hyunwoo Kim (V4bel) entdeckte die Lücke und legte sie am 7. Mai 2026 offen
- Der Exploit nutzt einen deterministischen Logikfehler statt einer Race-Condition, gelingt mit hoher Erfolgsrate und löst keine Kernel-Panic aus
- Dirty Frag betrifft alle großen Distributionen: RHEL, AlmaLinux, Debian, Ubuntu, SUSE, openSUSE, Proxmox VE
- Das BSI aktualisierte am 19. Mai 2026 seine Warnung, die Patches (f4c50a4034e6, aa54b1d27fe0) stehen in Mainline bereit
Was unterscheidet Dirty Frag von Dirty Pipe und Copy Fail?
Dirty Frag gehört derselben Bug-Klasse an wie Dirty Pipe (CVE-2022-0847) und Copy Fail (CVE-2026-31431). Die drei Lücken unterscheiden sich darin, wie gezielt und wie zuverlässig ein Angreifer in fremden Speicher schreiben kann.
Dirty Pipe nutzte einen schmalen Race-Condition-Pfad, Copy Fail begrenzte den Schreibvorgang auf vier Bytes. Über Dirty Frag schreibt ein Angreifer dagegen beliebige, selbst gewählte Klartextdaten an einen beliebigen Offset, und das in einem einzigen Durchgang.
Die Schwachstelle sitzt im Empfangspfad der Kernel-Module esp4, esp6 (IPsec/ESP) und rxrpc (AFS-Dateisystem-Protokoll): Dort entschlüsselt der Kernel Daten an Ort und Stelle. Enthält ein Socket-Buffer Paged Fragments, die nicht dem Kernel gehören und etwa über splice(2), sendfile(2) oder MSG_SPLICE_PAGES hineingelangt sind, entschlüsselt der Empfangspfad direkt in diesen fremden Speicherseiten. Auf diesem Weg kann ein Angreifer den Klartext eines anderen Prozesses überschreiben.
Der Schreibzugriff gelang nur über einen schmalen Race-Condition-Pfad.
Mehr schreibt ein Angreifer pro Vorgang nicht in den Speicher.
Ein Angreifer schreibt beliebige Klartextdaten an einen beliebigen Offset, in einem einzigen Durchgang und ohne Kernel-Panic-Risiko.
Dirty Frag verkettet CVE-2026-43284 im xfrm-ESP-Pfad (CVSS 8,8) und CVE-2026-43500 im RxRPC-Pfad (CVSS 7,8). Die ESP-Variante steckt seit Januar 2017 im Kernel, die RxRPC-Variante seit Juni 2023.
Die zweite Linux-Root-Lücke binnen vier Wochen ist das deutlichste Signal, dass KI-gestützte Vulnerability-Forschung den Kernel jetzt systematisch durchforstet. Ein Bug aus dem Januar 2017 fällt 2026 auf. Wer als deutscher Hoster oder Mittelständler immer noch ungetestet vom Vendor-Erratum zum Vendor-Erratum läuft, lebt mit einem strukturellen Risiko.
Markus Seyfferth, Chefredakteur Dr. Web
Welche Systeme sind im Risiko?
Betroffen sind nahezu alle Linux-Systeme, denn die anfälligen Module sind in den Standard-Kernelpaketen aller großen Enterprise-Distributionen aktiviert. Die ESP-Variante steckt seit Januar 2017 im Kernel (Commit cac2661c53f3), die RxRPC-Variante seit Juni 2023. Besonders hart trifft die Lücke Container-Workloads, weil Docker, containerd und die meisten Kubernetes-Pods standardmäßig den Zugriff auf AF_KEY-, XFRM-Netlink- und AF_RXRPC-Sockets erlauben. Wird ein einzelner Container kompromittiert, erlangt der Angreifer darüber Root-Rechte auf dem Host.
Besonders exponiert sind Cloud-Provider und Hoster, die viele Kunden auf denselben Systemen unterbringen. Betreiber, die einen Durchgriff von einzelnen kompromittierten Mandanten auf den Host bisher als unrealistisch eingestuft haben, sollten ihr Bedrohungsmodell überarbeiten.
Der BSI Cybersicherheitsmonitor 2026 zählt 27 Prozent der deutschen Internetnutzer zu den bereits Geschädigten, im KMU-Segment steigen die Schäden überproportional.
Wie patchen Sie kurzfristig und richtig?
1. Kernel-Update einspielen
Die Mainline-Patches liegen vor: f4c50a4034e6 für xfrm-ESP und aa54b1d27fe0 für rxrpc. Für AlmaLinux stehen die Korrekturen seit dem 8. Mai 2026 auf den Spiegelservern bereit. Red Hat Enterprise Linux, Oracle Linux und Rocky Linux folgten am 13. Mai im Bulletin RHSB-2026-003, openSUSE am 17. und 18. Mai, Debian am 18. Mai. SUSE veröffentlichte SUSE-SU-2026:2010-1 am 19. Mai 2026.
Sicherheitsforscher Hyunwoo Kim (V4bel) macht Dirty Frag öffentlich.
Die Patches stehen auf den Spiegelservern bereit.
Die Korrekturen erscheinen im Bulletin RHSB-2026-003.
Die Kernel-Updates werden ausgeliefert.
Debian liefert die Kernel-Updates aus.
SUSE veröffentlicht SUSE-SU-2026:2010-1, das BSI aktualisiert seine Warnung.
Die Module esp4, esp6 und rxrpc lassen sich per modprobe-Konfiguration sperren. IPsec-Verbindungen über StrongSwan und AFS-Setups mit RxRPC fallen dann allerdings aus.
2. Module sperren als Übergangslösung
Bis das Kernel-Update eingespielt ist, deaktivieren Sie die betroffenen Module. Drei Zeilen in /etc/modprobe.d/dirtyfrag.conf genügen:
Anschließend entladen Sie die Module mit rmmod esp4 esp6 rxrpc und prüfen mit lsmod, ob sie verschwunden sind. Mit dieser Sperre fallen allerdings IPsec-Verbindungen über StrongSwan und AFS-Setups mit RxRPC aus. Einen dauerhaften Ersatz für den Patch bietet die Übergangslösung nicht.
3. Live-Patching prüfen
Für produktive Systeme ohne Wartungsfenster bieten Dienste wie KernelCare oder Ubuntu Livepatch Live-Patching an, also Kernel-Korrekturen ohne Neustart. KernelCare rollte Live-Patches binnen 24 Stunden nach der Offenlegung für die gesamte EL8-Familie aus, EL9, Ubuntu, Debian und Proxmox folgten in derselben Welle.
Warum kommt der nächste Linux-Root garantiert?
Beide Dirty-Frag-Fehler steckten jahrelang unentdeckt im Kernel. Hinter ihrer Entdeckung vermutet das Threat Research Team von Sysdig KI-gestützte Schwachstellenforschung. Microsofts Engineering-Chef Tom Gallagher äußerte eine ähnliche Vermutung zur parallel laufenden Office-Patch-Welle.
Trifft diese Einschätzung zu, ist die nächste Lücke dieser Klasse nur eine Frage von Wochen.
Für IT-Verantwortliche heißt das: Patch-Disziplin allein reicht nicht mehr. Die Cybersecurity-Grundlagen für KMU verlangen ein systematisches Monitoring der Kernel-Errata, ein klar definiertes Patch-SLA und eine Awareness-Schulung gegen die aktuelle KI-Phishing-Welle. Die CISO-Studie 2026 dokumentiert, dass Angreifer bei 57 Prozent der Konzerne über das Endgerät eingedrungen sind. Eine lokale Root-Eskalation auf einem kompromittierten Arbeitsplatzrechner bildet in einer typischen Angriffskette genau den zweiten Schritt.
FAQ: Dirty Frag
Was ist die Linux-Lücke Dirty Frag?
Dirty Frag verkettet zwei Schwachstellen im Linux-Kernel, CVE-2026-43284 (xfrm-ESP, CVSS 8,8) und CVE-2026-43500 (RxRPC, CVSS 7,8). Jeder unprivilegierte lokale Nutzer kann darüber mit einem einzigen Befehl Root-Rechte erlangen. Entdeckt hat die Lücke der Sicherheitsforscher Hyunwoo Kim (V4bel), offengelegt wurde sie am 7. Mai 2026.
Welche Linux-Systeme sind von Dirty Frag betroffen?
Betroffen sind alle großen Distributionen, darunter RHEL, AlmaLinux, Debian, Ubuntu, SUSE, openSUSE und Proxmox VE, weil die anfälligen Module esp4, esp6 und rxrpc in ihren Standard-Kerneln aktiviert sind. Besonders gefährdet sind Container: Docker, containerd und die meisten Kubernetes-Pods erlauben standardmäßig den Zugriff auf die nötigen Sockets, sodass ein Angreifer über einen kompromittierten Container Root-Rechte auf dem Host erlangen kann.
Worin unterscheidet sich Dirty Frag von Dirty Pipe und Copy Fail?
Alle drei Lücken gehören derselben Bug-Klasse an. Dirty Pipe (CVE-2022-0847) nutzte einen schmalen Race-Condition-Pfad, Copy Fail (CVE-2026-31431) erlaubte nur vier Bytes pro Schreibvorgang. Über Dirty Frag schreibt ein Angreifer dagegen beliebige Daten an eine beliebige Stelle, deterministisch und ohne Risiko eines Kernel-Absturzes.
Wie schließen Sie die Dirty-Frag-Lücke?
Spielen Sie das Kernel-Update Ihrer Distribution ein. Die Mainline-Patches f4c50a4034e6 (xfrm-ESP) und aa54b1d27fe0 (rxrpc) liegen vor, AlmaLinux, Red Hat, Oracle Linux, Rocky Linux, openSUSE, Debian und SUSE lieferten ihre Updates zwischen dem 8. und 19. Mai 2026 aus. Für Systeme ohne Wartungsfenster bieten KernelCare und Ubuntu Livepatch Live-Patches ohne Neustart an.
Was hilft gegen Dirty Frag, solange das Update fehlt?
Als Übergangslösung sperren Sie die Module esp4, esp6 und rxrpc mit drei Zeilen in /etc/modprobe.d/dirtyfrag.conf, entladen sie mit rmmod und prüfen das Ergebnis mit lsmod. IPsec-Verbindungen über StrongSwan und AFS-Setups mit RxRPC funktionieren dann nicht mehr. Den Patch ersetzt diese Sperre nicht dauerhaft.
Mehr Newshunger?
